DIRECTION RÉGIONALE DE L'INDUSTRIE,
DE LA RECHERCHE ET DE L'ENVIRONNEMENT RHÔNE-ALP ES
Division de Lyon N. Réf. : DEP-DSNR Lyon-2130-2004 Monsieur le directeur CNPE de SAINT-ALBAN SAINT-MAURICE BP N°31 38550 SAINT MAURICE L'EXIL
Lyon, le 18 novembre 2004 OBJET : Contrôle des installations nucléaires de base CNPE de Saint Alban - Site (INB n° 119-120) Inspection n° 2004-EDFSAL-0016 Conduite en puissance Monsieur le directeur, Dans le cadre de la surveillance des installations nucléaires de base prévue à l'article 11 du décret n° 63-1228 du 11 décembre 1963 modifié et à l'article 17 du décret n° 93-1272 du 1er décembre 1993 modifié par le décret n° 2002-255 du 22 février 2002, une inspection inopinée a eu lieu dans la nuit du 4 au 5 novembre 2004 au CNPE de Saint-Alban sur le thème de la conduite en puissance des installations.

Suite aux constatations faites, à cette occasion, par les inspecteurs, j'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent.

## Synthèse De L'Inspection

L'inspection inopinée réalisée dans la nuit du 4 au 5 novembre 2004 portait sur la conduite en puissance des installations. Concernant la conduite des installations, l'inspection n'a pas mis en évidence d'anomalie particulièrement notable, les deux réacteurs étant dans un état stable.

Par contre l'examen des dossiers d'analyses internes d'événements a montré que la direction du site avait décidé de ne pas considérer comme significatifs deux événements, contre les avis du service sûreté-qualité et malgré les directives nationales relatives à la déclaration des événements significatifs à l'autorité de sûreté. Enfin, l'inspection a montré que les conditions de réalisation et de surveillance des chantiers du plan d'action incendie n'étaient pas satisfaisantes, la sectorisation des locaux n'étant notamment pas assurée. 

## A. Demandes D'Actions Correctives

Le dossier d'analyse d'événement (DAE) interne n°2004-45 relate l'exposition inhabituelle d'un travailleur, lié à un débit de dose d'environ 6mSv/h dans une zone orange non balisée. L'analyse du service compétent en radioprotection indique qu'il n'y a pas eu de conséquence réelle, le dépassement n'ayant pas atteint la limite réglementaire autorisée pour les travailleurs.

Or, l'utilisation de la seule limite réglementaire comme évaluation des conséquences réelles va à l'encontre du principe de réduction des doses au niveau le plus bas raisonnablement possible (ALARA) et contrevient donc à la réglementation relative à la protection des travailleurs contre les rayonnements ionisants.

Le service considère également que l'évaluation dosimétrique prévisionnelle (EDP)
permettait de prévenir les conséquences potentielles, en lui attribuant une valeur de « ligne de défense forte », ce qui n'est manifestement pas le cas. En l'occurrence, l'EDP était de niveau 1, ce qui aurait dû interdire la réalisation de l'intervention dans la zone concernée, et l'intervenant aurait dû s'arrêter avant d'avoir reçu 0,5 mSv. Sur ces conclusions, le service propose de ne pas faire d'analyse plus poussée des dysfonctionnements qui ont conduit à cette situation, ni de déclarer cet événement significatif pour la radioprotection (ESR).

Le service sûreté qualité propose une analyse qui me paraît plus pertinente, en indiquant que le défaut de balisage est avéré, et que la surexposition du travailleur en est une conséquence réelle. Ceci correspond à l'esprit de la réglementation, l'une des conséquences potentielles pouvant également être l'accès éventuel d'agents intérimaires ou en contrat à durée déterminée. Le service rappelle le critère ESR 6 de la directive n°DI-100 et indique que l'événement en relève effectivement.

Or, la direction du site a finalement décidé de traiter l'événement en interne, avec rédaction d'un compte rendu d'événement local, sur la base d'une justification qui ne s'appuie sur aucune des directives nationales en vigueur, et donc de ne pas le déclarer. L'autorité de sûreté n'a eu de fait aucune information sur cet événement. Je vous rappelle que toute non-conformité aux règles de balisage des zones contrôlées doit faire l'objet d'une déclaration d'événement (conformément à la lettre DGSNR du 25/03/04 déclinée dans la directive DI n°100), les plus significatives devant faire l'objet d'une analyse approfondie. Je note également qu'en 2003 et 2004, mes services ont déjà été amenés à vous demander de déclarer des événements significatifs en radioprotection qui n'avaient pas été identifiés en interne. 1. Je vous demande de vous assurer de la bonne appropriation et de la bonne déclinaison des critères de déclaration des événements significatifs en radioprotection de la lettre DGSNR du 25/03/04 sur le site.

2. Je vous demande de réexaminer les événements internes s'étant produits en 2004 pour en vérifier le respect, et de procéder à la déclaration des événements significatifs qui auraient fait l'objet d'une décision erronée. En particulier, l'événement précité devra être déclaré et analysé, puis donner lieu à un rapport d'analyse que vous me transmettrez sous deux mois.

Le dossier d'analyse d'événement interne n°2004-43 relate une aspersion de la pompe de test RCV 191 PO lors d'un essai sur le système d'aspersion incendie JPI. Cette aspersion était la conséquence de l'inétanchéité d'un clapet du circuit avec un mode opératoire erroné, ne prenant pas en compte l'amendement JPI n°03 à la règle d'essai nationale du système JPI, permettant justement de se prémunir de ce type d'événement. La pompe a alors été déclarée indisponible pour investigation après quoi un autre événement a par ailleurs été mis en évidence sur le système LLS. L'analyse du service conduite et du service sûreté-qualité convergent sur la déclaration d'un événement significatif pour la sûreté, au titre du critère 3 de la DI n°19.

Or, la décision de la direction a été de poursuivre une instruction interne de l'événement en ne déclarant pas d'événement significatif pour la sûreté. La justification de cette décision ne figurant pas dans le DAE, elle a été fournie aux inspecteurs au lendemain de l'inspection.

Sur la forme, je m'interroge quant aux motivations et aux justifications de la décision qui figure dans le DAE.

Sur le fond, je ne partage pas les justifications que vous avez fournies aux inspecteurs au lendemain de l'inspection. En effet, le chapitre « généralités » des spécifications techniques d'exploitation précise explicitement qu'un matériel doit être considéré comme indisponible dès lors qu'existe un doute sérieux sur son aptitude à fonctionner. Ainsi, dès lors que la pompe a été aspergée, vous aviez un doute sérieux sur son fonctionnement et l'événement de groupe 1 associé devait être posé. Il n'est donc pas justifié d'indiquer, comme vous l'avez fait, que l'événement de groupe 1 était uniquement induit par le fait que l'essai de bon fonctionnement de la pompe la rendait indisponible.

L'indisponibilité provoquée de la pompe RCV 191PO est bien directement liée à l'aspersion de cette pompe, provoquée par des lacunes d'assurance de la qualité et une prise en compte insuffisante du chapitre IX des règles générales d'exploitation et du retour d'expérience des événements déjà survenus.

3. Je vous demande de procéder à la déclaration et à l'analyse d'un ESS au titre du critère 3 de la DI n°19 pour l'événement n°2004-43.

4. De façon plus large, je vous demande de veiller à ce que les décisions prises dans les dossiers d'analyses d'événements soient bien justifiées et formalisées, particulièrement lorsqu'elles vont à l'encontre de l'avis des services. Je souhaite qu'une analyse approfondie des circonstances ayant conduit à rejeter les analyses convergentes des services dans ce cas particulier soit réalisée et me soit communiquée.

## Plan D'Action Incendie (Pai)

L'impact des travaux du PAI sur la tenue des locaux (température, ruptures de sectorisation, …) est géré par le chargé de consignation et par des consignes temporaires d'exploitation (CTE). En l'occurrence, les documents relatifs aux chantiers non terminés le soir de l'inspection (CTE n°1891) indiquaient que les secteurs de feu de sûreté étaient intègres, grâce aux moyens de bouchage provisoires mis en place.

Or, la visite des chantiers en cours a montré que plusieurs bouchons intumescents étaient très mal mis en place (2 JSL 007 WG LA 67, 2 JSL 007 WG LA 73). De plus, les portes coupe-feu JSL 524 QG et JSL 525 QG, toutes deux en limite d'un secteur de feu de sûreté visé par les travaux étaient ouvertes, l'une bloquée par du ruban adhésif, et l'autre en raison d'un ferme-porte inopérant. Les inspecteurs ont par ailleurs constaté que la porte JSL 524 QG était étiquetée par erreur JSL 525 QG. Ainsi, même si le service en charge du suivi du chantier PAI avait indiqué que cette porte était bloquée ouverte (ce qu'il aurait du faire), cette rupture de sectorisation aurait été mal gérée dans l'application informatique utilisée pour la gestion de la sectorisation incendie. Dans plusieurs locaux électriques (LA 705, LA 736, LB732), des matériels divers (échelle, chariots, échafaudage, coffret électrique provisoire) étaient non amarrés et susceptibles d'agresser des matériels électriques en cas de chute ou de séisme. J'attire votre attention sur l'importance que prendront les travaux du PAI pendant l'arrêt du réacteur 2 et sur les risques associés à la défaillance de multiples secteurs de feu de sûreté.

5. Je vous demande de veiller à ce que les replis des chantiers PAI soient réalisés de façon plus rigoureuse.

6. Je vous demande de mettre en place des actions de surveillance visant à vérifier de façon effective l'intégrité de la sectorisation et des dispositifs provisoires de rebouchages lorsque des travaux affectent la sectorisation.

## Fiches D'Action Incendie Rondier (Fai-Rondier)

Les inspecteurs ont consulté dans plusieurs locaux du bâtiment électrique des fiches d'action incendie 'Rondier', utilisées en cas d'incendie pour assurer la sectorisation du feu. Il ressort de cet examen plusieurs anomalies. La fiche n°20010 et la fiche n°20009 étaient toutes les deux présentes en local et comportaient des informations contradictoires. Après vérification en salle de commande, il semble que la fiche n°20010 ait été abrogée. Elle ne devrait donc plus être présente en local. Les fiches n°20003 et n°20004 sont en contradiction concernant le repérage des zones de détection n°3 et n°4. Par ailleurs, la fiche n°20004 n'existe pas dans la listes des FAI de la consigne FAI-0.

La fiche n°20007 traite des zones n°7 et n°8. La FAI-0 indique qu'elle ne traite que de la zone n°7. Cette remarque vaut également pour la fiche n°20009, qui traite les zones n°9 et n°10.

La fiche n°20012 traite des zones n°12, n°13 et n°14 et il existe également une FAI n°20014 qui traite aussi de la zone n°14.

Enfin, un agent de terrain nous a indiqué que c'était la salle de commande qui guidait les agents dans le choix des FAI. Or, la salle de commande ne dispose pas d'information sur le détecteur en alarme (elle n'a qu'une information globale sur la zone de détection concernée) et ne peut donc pas guider l'agent de terrain lorsque la zone de détection couvre plusieurs secteurs.

7. Je vous demande de prendre en compte ces remarques, de mettre à jour la FAI-0

## Et De Veiller À Ce Que Les Fai Présentes Sur Le Terrain Et En Salle De Commande Soient Cohérentes Et Effectivement D'Application.

Dans plusieurs des locaux 'batteries' du niveau 7 du bâtiment électrique, les inspecteurs ont constaté un mauvais état du carrelage et l'absence de seuils de portes permettant de contenir les éventuelles fuites de produits dangereux. 8. Je vous demande de veiller à la mise en conformité de ces locaux par rapport aux exigences de l'arrêté du 31/12/1999. Vous m'indiquerez les délais associés à cette mise en conformité.

Les consignes de soins aux électrisés affichées dans tous les locaux électriques visités par les inspecteurs étaient obsolètes (gestes relatifs à la réanimation qui ne sont plus en vigueur).

9. Je vous demande de veiller à ce que ces affichages soient mis à jour.

## B. Compléments D'Information

Le dossier d'analyse d'événement n°2004/39 relate un début de repli du réacteur 1 à la suite de la perte d'une baie du système KCO (baie BG2). Vous avez décidé de ne pas analyser plus en avant ni ne déclarer cet événement, l'examen de la situation a posteriori ayant montré que le réacteur avait été replié de façon conservative, les systèmes déclarés indisponibles (événement LH1) ne l'étant pas complètement.

A mon sens, la décision d'amorçage du repli souligne la culture de sûreté de l'équipe qui a géré cet événement, en situation de doute. D'un point de vue technique, il semble qu'un dysfonctionnement ait déjà affecté cette baie trois jours avant mais que la réparation effectuée n'ait pas permis de prévenir le deuxième événement. Le service concerné indique avoir lancé une expertise pour expliciter le défaut survenu.

Au vu des événements qui se sont produits ces dernières années sur le site, les pertes de baie du système KCO sont visiblement récurrentes, avec des conséquences plus ou moins significatives.

## 10. Je Vous Demande De Me Tenir Informé Des Conclusions De L'Expertise Que Vous Avez Lancée Et De Me Fournir L'Avis De Vos Services Centraux Sur Cet Événement.

Au jour de l'inspection, le transformateur auxiliaire (1TA) n'était pas disponible, à la suite à un défaut d'isolement, probablement lié à des problèmes d'humidité. Le transformateur, initialement disponible, avait fait l'objet d'une intervention de maintenance préventive, sous couvert des trois conditions limites des spécifications techniques d'exploitation (STE)
suivantes :
- aucun autre événement de groupe 1 en cours,
- délai de remise à disponibilité au plus égal à 8 heures,
- durée cumulée de mise hors-tension au plus égal à 8 jours.

Bien que la deuxième condition limite ne soit plus respectée en raison du problème d'humidité, vos représentants ont indiqué que l'indisponibilité était couverte par la pose d'un événement fortuit sur le transformateur, avec une durée de réparation de 7 jours. La date de départ de cet événement fortuit a été fixée, de manière conservative, au début des travaux sur le transformateur auxiliaire, ce qui était la seule solution acceptable.

Il est assez inhabituel, voire inadmissible, de constater qu'une intervention réalisée tranche en puissance sur un matériel requis, en utilisant une condition limite des spécifications techniques d'exploitation, conduit à la dégradation de la disponibilité de ce matériel. L'analyse de risques de cette intervention, examinée par les inspecteurs, ne comportait aucun élément de nature à éviter les difficultés rencontrées durant ce chantier. 11. Je vous demande de me faire parvenir votre analyse sur cette situation, à savoir la réalisation d'une intervention de maintenance sur un matériels requis, si l'intervention est finalement à l'origine d'une dégradation de la sûreté.

12. Je vous demande d'indiquer sur quel document de doctrine s'appuie la décision de déclaration d'un événement fortuit.

## C. Observations

Les inspecteurs ont noté que le nombre de consignes temporaires d'exploitation en salle de commande était important (plus d'une vingtaine), dont beaucoup demandant des relevés de paramètres particuliers. Je m'interroge sur les difficultés que la multiplication des consignes temporaires occasionne pour les équipes, avec le risque de méconnaissance ou d'oubli de l'une d'entre elles. Plusieurs siphons de sols étaient secs, visiblement depuis une durée relativement importante.

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée.

Le directeur

## Signé : Marc Caffet
